Arbeitszeiterfassung per Fingerabdruck und Gesichtserkennung verboten: KVKK-Grundsatzentscheidung 2026/921

⏱️ Lesezeit: 9 min · 📁 Kategorie: KVKK, Digitale Compliance und Datensicherheit

Arbeitszeiterfassung per Fingerabdruck und Gesichtserkennung verboten: KVKK-Grundsatzentscheidung 2026/921

Fingerabdruckleser und Gesichtserkennungsterminals, die seit Jahren zum Arbeitsalltag gehören,
sind nun zu einem unmittelbaren Compliance-Risiko geworden. Die vom Datenschutzrat erlassene
Grundsatzentscheidung vom 29. April 2026 mit der Nummer 2026/921 zur Verarbeitung biometrischer Daten für die Arbeitszeiterfassung,
trat mit ihrer Veröffentlichung im Amtsblatt Nr. 33268 vom 2. Juni 2026 in Kraft.

Die Wirkung der Entscheidung lässt sich in einem Satz zusammenfassen: Selbst wenn der Beschäftigte ausdrücklich eingewilligt hat,
ist die Verarbeitung biometrischer Daten zur Arbeitszeiterfassung (PDKS) rechtswidrig.
Das bedeutet, dass die Verteidigung, die "Ich habe Zustimmung von meinem Stab erhalten" nicht mehr gültig ist.

📌 Kurze Antwort:

Erfasst sind alle Unternehmen und öffentlichen Stellen, die Fingerabdrücke, Gesichtserkennung, Iris- oder Netzhautscans zur Arbeitszeiterfassung nutzen.
Ausdrückliche Einwilligung allein genügt nicht als Rechtsgrundlage. Die Arbeitszeiterfassung muss mit verschlüsselten Karten, PINs, RFID/NFC-Karten, Unterschriftenlisten oder mobilen/QR-Systemen als
weniger eingriffsintensiven Methoden erfolgen.

Bei einem Verstoß gegen die Entscheidung kann ein Verfahren zur Verhängung eines Bußgelds nach Artikel 18 KVKK eingeleitet werden.

Was ist die Rechtsgrundlage des Grundsatzbeschlusses?

Fingerabdruck-, Gesichtserkennungs-, Iris- und Netzhautdaten gelten nach dem Datenschutzgesetz Nr. 6698 als
besondere Kategorien personenbezogener Daten. Diese Daten identifizieren eine Person eindeutig und
sind nach einem Abgriff nicht rückgängig zu machen; daher unterliegen sie dem höchsten Schutzniveau.

Obwohl das Arbeitszeitrecht Vorschriften zur Aufzeichnung der Arbeitszeit enthält, stellte der Datenschutzrat fest,
dass für die Verwendung biometrischer Daten zu diesem Zweck keine ausdrückliche gesetzliche Grundlage besteht.

⚖️ Offizielle Grundlage:

Die Entscheidung stützt sich auf das Urteil des Verfassungsgerichts, das die Arbeitszeiterfassung per Fingerabdruck wegen fehlender gesetzlicher Grundlage als Rechtsverletzung einstufte, sowie
auf die Rechtsprechung des Staatsrats, wonach Handvenenleser dem Verhältnismäßigkeitsgrundsatz widersprechen.
Die Grundsatzentscheidung machte diese Rechtsprechung auch auf Verwaltungsebene verbindlich.

Warum schützt ausdrückliche Einwilligung nicht mehr?

Viele Unternehmen stützten biometrische Arbeitszeiterfassung auf die ausdrückliche Einwilligung der Beschäftigten. Der Datenschutzrat verwarf dies aus zwei Gründen.

Gründe für die Invalidität

• Machtungleichgewicht: Beschäftigte, die um ihren Arbeitsplatz fürchten, können nur eingeschränkt Nein sagen; dies stellt die Freiwilligkeit der Einwilligung infrage.
• Widerruflichkeit: Widerruft ein Beschäftigter seine Einwilligung, wird die Kontinuität des Systems gestört; damit ist sie von Anfang an eine schwache Grundlage.
• Verhältnismäßigkeit: Die sensibelste Methode trotz milderer Alternativen zu wählen, verletzt den Grundsatz der Zweckbezogenheit, Begrenzung und Verhältnismäßigkeit aus Artikel 4.

Verbotene Methoden und rechtskonforme Alternativen

Die Entscheidung zeigt, welche Methoden der Arbeitszeiterfassung Risiken bergen und welche Alternativen genutzt werden können.

Vergleich der Arbeitszeiterfassungsmethoden

Kategorie	Verfahren	Status bei der Arbeitszeiterfassung
Biometrisch	Fingerabdruck, Gesichtserkennung, Iris, Netzhaut	❌ Illegal (auch mit ausdrücklicher Zustimmung)
Karte / Code	Verschlüsselte Karte, PIN-basierte Systeme	✅ Geeignet
Kontaktlose Karte	RFID/NFC-ID-Karten	✅ Geeignet
Manuell	Unterschriftstabelle, manuelle Eintragung unter Aufsicht des Prüfers	✅ Geeignet
Mobil	QR-Code- oder standortbasierte mobile Arbeitszeiterfassung	✅ Geeignet, sofern keine biometrischen Daten erhoben werden

Für wen gilt diese Entscheidung?

Die Entscheidung bindet neben der Privatwirtschaft auch öffentliche Einrichtungen und Organisationen unmittelbar.
Erfasst sind alle Verantwortlichen mit biometrischer Anwesenheitserfassung, von Fabriken und Bürokomplexen bis zu Gemeinden und Krankenhäusern.

⚠️ Häufiger Irrtum:

Die Annahme „Wir sind eine öffentliche Stelle oder ein Kleinbetrieb, das betrifft uns nicht“ ist falsch.
Die Entscheidung gilt unabhängig von Größe und Branche für alle, die biometrische Daten zur Arbeitszeiterfassung verarbeiten.

Irgendwelche Ausnahmen?

Ja, aber nur begrenzt. Verboten ist die routinemäßige Arbeitszeiterfassung (PDKS).
In Bereichen, die hohe Sicherheit erfordern, wie z. B. Bankgewölbe, FuE-Labor, Rechenzentrum oder kritischen Serverraum,
kann die Nutzung biometrischer Daten allein zur Zugangsbeschränkung auf befugtes Personal nach gesonderter Prüfung von Zweck und Erforderlichkeit in Betracht kommen.
In diesem Fall sind auch der rechtliche Rahmen und eine strenge Bedarfsanalyse unerlässlich.

Wie hoch ist das Sanktionsrisiko?

Der Datenschutzrat wertet die Nichtbeachtung der Entscheidung als Verstoß gegen die Pflicht zu technischen und organisatorischen Maßnahmen nach Artikel 12 und
kündigte Verwaltungssanktionen nach Artikel 18 an.

📊 Kritischer Punkt:

KVKK-Bußgelder steigen jährlich mit dem Neubewertungssatz; die Obergrenze für diese Kategorie kann 2026
Millionen türkischer Lira, etwa 17 Millionen TRY, erreichen.
Noch entscheidender: Dieses Risiko wird oft durch eine einzige Beschäftigtenbeschwerde ausgelöst, die zu einer Prüfung von Amts wegen führt.

Compliance-Risiken anhand von Beispielen Beispiel 1: Produktionsunternehmen mit Gesichtserkennungs-Drehkreuzen

• Ein- und Ausgang: Gesichtserkennungsterminal
• Grundlage: ausdrückliche Einwilligung des Arbeitnehmers
• Ergebnis: Ausdrückliche Einwilligung genügt nicht; es besteht ein Compliance-Risiko und ein alternatives System ist erforderlich.

Beispiel 2: Gemeinde mit Fingerabdrucksystem

• Erfassung der Anwesenheit des Personals: Fingerabdruck
• Art der Einrichtung: öffentlich
• Ergebnis: Die Praxis ist unverzüglich anzupassen, da die Entscheidung auch öffentliche Stellen bindet.

Beispiel 3: Zugangskontrolle für FuE-Labore

• Zweck: Nur genehmigter Eintritt in ein kritisches Labor
• Umfang: Zugangskontrolle, keine routinemäßige Arbeitszeiterfassung
• Ergebnis: Eine Ausnahme kann geprüft werden, erfordert aber eine Erforderlichkeitsanalyse und eine gesetzliche Grundlage.

Compliance-Fahrplan in sieben Schritten

Wenn Sie bereits biometrische PDKS verwenden, ist die Verwaltung des Übergangs in der folgenden Reihenfolge der sicherste Ansatz:

• Erkennung: Stellen Sie fest, welche biometrischen Daten welcher Beschäftigten gespeichert werden.
• Inventar aktualisieren: Dokumentieren Sie die aktuelle Verarbeitungstätigkeit und ihre Grundlage.
• Auf ein alternatives System umsteigen: Wechseln Sie zu Karte/PIN, RFID/NFC, QR oder mobilem PDKS.
• Biometrische Daten vernichten: Löschen oder anonymisieren Sie Daten ohne fortbestehende Rechtsgrundlage unumkehrbar.
• Vernichtungsprotokoll: Dokumentieren Sie die Vernichtung; dies ist der wichtigste Nachweis zu Ihrem Schutz bei einer Prüfung.
• Datenschutzhinweise und Einwilligung erneuern: Erstellen Sie zum neuen System passende Datenschutzhinweise und Beschäftigteninformationen.
• VERBİS aktualisieren: Tragen Sie die Änderung der Verarbeitung fristgerecht im System ein.

🔎 Fachlicher Hinweis:

Der Gerätewechsel allein reicht nicht aus. Solange früher erhobene biometrische Daten nicht ordnungsgemäß vernichtet werden
und dies nicht protokolliert wird, besteht auch nach einem Systemwechsel das Risiko aus früheren Verstößen fort.

Ergebnis und Sachverständigenbewertung

Die KVKK-Grundsatzentscheidung 2026/921 beendet eindeutig die biometrische Arbeitszeiterfassung.
„Alle nutzen es“ oder „Meine Beschäftigten haben eingewilligt“ bietet keinen rechtlichen Schutz mehr.

Unternehmen müssen dies als Compliance-Projekt gestalten, das Inventar, Vernichtung, Datenschutzhinweise, Einwilligung und VERBİS
gemeinsam umfasst, statt lediglich ein Gerät zu wechseln. Andernfalls kann eine einzige Beschäftigtenbeschwerde
unmittelbar ein Bußgeldverfahren auslösen.

B10 Digital Agency ⚖️ Biometrische PDKS Compliance und Risikoanalyse

B10 Digital Agency analysiert die Risiken Ihres bestehenden Fingerabdruck-/Gesichtserkennungssystems,
plant den Wechsel zu einer rechtskonformen Alternative und erstellt prüfungsbereite Dokumentation.

Mit unserem Hybridmodell aus Rechtsberatung und technischen Teams gestalten wir die Vernichtung biometrischer Daten,
Dateninventare, Datenschutzhinweise und VERBİS-Aktualisierungen in einem Ablauf.

🔎 Risikokarte
Ihre bestehende PDKS-Infrastruktur und biometrische Daten werden analysiert. 🗑️ Dokumentierte Entsorgung
Daten ohne fortbestehende Rechtsgrundlage werden protokolliert und prüfungsbereit vernichtet. ⚖️ Compliance-Maßnahmenplan
Alternatives System, Datenschutzhinweise und VERBİS-Schritte werden in einen Fahrplan überführt.

Wenn Sie Arbeitszeiten per Fingerabdruck oder Gesichtserkennung erfassen, ist vor einer Beschäftigtenbeschwerde eine Compliance-Analyse erforderlich.

Compliance-Analyse für biometrisches PDKS anfordern

Häufig gestellte Fragen Meine Angestellten haben ihre Zustimmung gegeben, bin ich dafür verantwortlich?

Ja. Wegen des Machtungleichgewichts zwischen Arbeitgeber und Beschäftigten sowie des Verhältnismäßigkeitsgrundsatzes hält der Datenschutzrat ausdrückliche Einwilligung für die Arbeitszeiterfassung nicht für ausreichend.

Welche alternativen Methoden sind rechtmäßig?

Verschlüsselte Karten, PIN-Systeme, RFID/NFC-Ausweise, Unterschriften- und Papierlisten, QR-/mobiles PDKS und beaufsichtigte manuelle Eintragung.

Kann ich Fingerabdrücke in Hochsicherheitsgebieten verwenden?

Das Verbot betrifft die routinemäßige Arbeitszeiterfassung. Beim Zugang zu kritischen Bereichen wie FuE-Laboren, Serverräumen oder Tresoren kann die Nutzung nach gesonderter Prüfung von Zweck und Erforderlichkeit im gesetzlichen Rahmen möglich sein.

Was soll ich mit alten biometrischen Daten machen?

Löschen oder anonymisieren Sie Daten ohne fortbestehende Rechtsgrundlage gemäß der Datenvernichtungsrichtlinie und protokollieren Sie den Vorgang.

Gilt die Entscheidung auch für öffentliche Stellen?

Ja. Sowohl die Privatwirtschaft als auch öffentliche Einrichtungen und Organisationen sind erfasst.